Kein Zugriff trotz Ordnerfreigabe

Leider können Sie noch nicht alles probiert haben, da es ja ansonsten funktionieren würde.

Alle 2003 und SBS Server auf denen ich die Ordner freigegeben habe,
machen dieses wunderbar. Domänenbenutzer können ohne Probleme LESEN und SCHREIBEN.
Wir reden doch von einer Windows Domäne, oder?!

Tschö
ErdNagel

Freigabeberechtigungen:

Dort darf nur ganz genau ein Eintrag vorhanden sein:

Jeder: Lesen/Ändern

Nichts anderes!!

Danach kannst du die Sicherheitseinstellungen richtig einstellen, bedenke aber immer eins: Verbote gehen immer über Erlaubnisse.

Hi dog.
wieso das? Und wo bleiben die Admins? Oder sollen die die Rechte nicht von remote ändern können?
Ich denke, der Standard ist admins voll und user lesen bzw. bei Bedarf ändern.
Ich schreib das nur, weil das "darf" auch missverstanden werden kann, wenn man's wörtlich nimmt.

Das "darf" sagt meine Erfahrung.
Die Freigabeberechtigungen sind eine NT-Krücke, die M$ wie so oft nicht los wird (werden will).
Dabei habe ich die Erfahrung gemacht, dass die Freigabeberechtigung "Vollzugriff" ungeahnte Effekte haben kann - vor allem solche, die sich auch per "Effektive Berechtigungen" nicht erklären lassen!

Die Admins, sowie alle anderen Benutzer sollten nur über die Sicherheitsberechtigungen verwaltet werden, so hat man die Freigabeberechtigungen so weit wie möglich aus der Gleichung draußen.

Abgesehen davon ist das "Vollzugriff" recht für Admins in den Freigabeberechtigungen nicht notwendig, es reicht wenn es in den Sicherheitsberechtigungen gemacht wird (auch Erfahrung).

Grüße

Max

Kann ich Dir erklären. Wer in den Freigabeberechtigungen Vollzugriff hat, darf Rechte ändern und (ggf. erneut) den Besitz übernehmen bei Ordnern, dessen Besitzer (/Ersteller) er ist - ungeachtet jeglicher NTFS-Rechte (ebenso ungeachtet von expliziten Verboten). Das ist die einzige Ausnahme (die MS leider auch zum Teil falsch dokumentiert) zur ansonsten korrekten Regel: "bei NTFS- und Freigabeberechtigungen wird das Restriktivere angewendet".
Deshalb sollte man nur den Admins Vollzugriff in den Freigabeberechtigeungen geben, anderen maximal ändern. Weitere Rechte natürlich über NTFS. Und ja, ich gebe Dir Recht, auch die "effektiven Berechtigungen" werden in diesem Fall inkorrekt angezeigt.
In Kürze: ein Admin, der Vollzugriff an alle in den Freigabeberechtigungen vergibt kann nicht verhindern, dass Benutzer auf selbst erstellten Dateien oder Ordnern die Rechte nach Ihrem Gusto verstellen.

Aber "darf nur ganz genau ein Eintrag" ist verkehrt. ;)

Das war es glaub ich.


Ich habe es vorhin nochmal ausprobiert: Als Admin reicht mir schon das Jeder Lesen/Ändern Recht um alles außer den Freigabeberechtigungen remote ändern zu können.
Wo siehst du da dein Problem?

Grüße

Max

Moment... Wie änderst Du denn remote? gehst Du über d$ rein? Auf der Freigabe selbst wird das nichts, das garantiere ich Dir.
Edit - oder garantier ich das besser doch nicht - hmm, was kommt denn hier zum Tragen? Vermutlich wird ausgenutzt, dass ein Admin immer und zu jeder Zeit den Besitz ändern kann. Du hast Recht, es reicht, ändern für alle zu vergeben.

Nein, ich habe direkt die Einstellungen der Freigabe verändert.
Guckst du hier:


Den zweiten Benutzer habe ich Remote angelegt.
Und selbst wenn ich Remote die "Administratoren"-Gruppe lösche und mir damit den Zugriff entziehe kann ich die danach einfach wieder neu hinzufügen.

<edit>Ups, da warst du schneller als mein Internet </edit>

@dog

was Sie da machen ist eher fahrlässig und das mit den Berechtigungen haben Sie wohl nicht verstanden.
Wenn diesen Thread jemand liest der wenig Erfahrung mit Freigaben auf Servern hat, dann wird er sich
nach einiger zeit einen Strick nehmen.

Es gibt hervorragende Literatur (Das Sind Fachbücher) zu diesem Thema.

ErdNageL

ErdNagel,

ich und alle anderen hier würden es bevorzugen, wenn du die "Du"-Form benutzt, wie es hier üblich ist.

2. Wenn ich es schon falsch mache, dann erkläre mir auch wie man es richtig macht, so hilft dein Kommentar nämlich niemandem...

Kein Problem,

Ordnerfreigaben auf einem Windows 2003 Server konfogurieren

Quellangabe: Windows Server2003 Expertentipps (Microsoft Press)

Zitatanfang:
Da Freigaben eine Grundlage der Bereitstellung von Ressourcen im Netzwerk darstellen, sollten Sie berücksichtigen,
dass bei Windows Server2003 neu erstellte freigaben in der Standardeinstellung nur Leseberechtigung für die Gruppe Jeder besitzen.
Damit Anwender auf freigegebene Ressourcen auch schreibend zugreifen können, müssen Sie der Gruppe Jeder oder alternativ einer Gruppe, der die benutzer angehören, mindestens die Berechtigung zum Ändern geben. Empfehlung ist in der Regel die Berechtigung Vollzugriff für die Freigabe
zu erteilen und die Einschränkung der Berechtigungen exklusiv auf Dateisystemebene vorzunehmen. Auf diese weise wird sichergestellt, dass die NTFS Berechtigungen unverfälscht gelten.
Zitatende

1. Beispiel mit Zugriff für alle User
Bei einer Ordnerfreigabe hat sich folgende Vorgehensweise bewährt:

1. Klick mit der rechten Maustaste auf den freizugebenden Ordner
2. Diesen Ordner freigeben auswählen und einen passenden Freigabename wählen
3. Auf Berechtigung klicken
4. Wenn wirkliche alle Zugriff haben sollen, dann hier bei Jeder das Häkchen auf VOLLZUGRIFF ändern
5. Mit Übernehmen und OK bestätigen
6. Auf Sicherheit klicken
7. Auf hinzufügen klicken
8. Erweitert und Jetzt suchen anklicken
9. jeder aussuchen (oder alle Domänenbenutzer) und bestätigen
10. Jeder bekommt auch hier Vollzugriff
11. Weiterhin muss unter Sicherheit noch der
- Administrator
- Ersteller Besitzer
- SYSTEM (wird oft vergessen und dann gibts mächtig Probleme)

Beispiel 2 mit Zugriff NUR für bestimmte Domänenbenutzer:

1. Die ersten Schritte wie oben
2. Bei der Freigabebrechtigung wird hier allerdings nicht JEDER sondern explizit
auf Domänenbenutzer oder sogar die betreffenden Usernamen eingeschränkt
und die Berechtigung auf Vollzugriff gesetzt.
3. JEDER wird entfernt
4. Mit Übernehmen und OK bestätigen
5. Karteireiter Sicherheit aufrufen
6. Über hinzufügen die einzelnen User hinzufügen und VOLLZUGRIFF gewähren
7. Administrator, Ersteller Besitzer und SYSTEM müssen hier drin bleiben
8. Benutzer wird entfernt
9. Alle offenen Fenster bestätigen und die Freigabe testen. Neustart ist nicht nötig

Troubleshooting:
Die Berechtigung oder die Freigabe des Ordners funktioniert dennoch nicht!

Kein problem
1. Mit der rechten Maustaste in die eigenschaften des Ordners gehen
2. Karteireiter SICHERHEIT aufrufen und unten auf ERWEITERT klicken
3. Entfernt hier bitte das Häkchen bei Berechtigungen übergeordneter Objekte, sofern vererbbar, über .......
4. Im sich öffnenden Fenster entfernen auswählen
5. Auf hinzufügen klicken
6. Administrator, SYSTEM und die einzelnen USER hinzufügen mit VOLLZUGRIFF für den ADMIN und die USER
7. Unten das Häkchen setzen bei "Berechtigungen für alle untergeordneten Objekte durch die angezeigten Einträge......................setzen

8. Übernehmen und mit OK bestätigen
9. Freigabe testen

Tschö
ErdNageL

Hättest du die Diskussion zwischen DerWoWusste und mir verfolgt, hättest du gesehen, dass das Freigaberecht "Vollzugriff" niemals gesetzt werden sollte, weil einem sonst die Benutzer auf der Nase rumtanzen können und man es nicht nachvollziehen kann.

Desweitern hat DerWoWusste die 2. Grundregel von Freigaben auch korrekt erwähnt: "bei NTFS- und Freigabeberechtigungen wird das Restriktivere angewendet".

Anders ausgedrückt:

Dieser Absatz ist Mist, denn auch wenn "Jeder" in den Freigaberechten drin steht gelten nur die NTFS-Rechte.
Es reicht also vollkommen aus (Nein, es ist sogar besser!) wenn die Zugriffskontrolle nur über die NTFS-Rechte gemacht wird. (übrigens stimmt da das Zitat von M$ Press mit mir überein)

Und die 3. Regel von Shares habe ich auch bereits erwähnt: Freigaberechte sind legacy und sollten so weit wie möglich rausgehalten werden.
Je mehr man sie benutzt, je mehr Chaos und Kopfschmerzen richtet man an!

Mein Absatz der Mist ist, steht exakt so in einigen Fachbüchern.
Ich praktiziere dieses auf etliche 2003 Servern.
Ich habe keine Probleme mit Anwendern "die mir auf Nase rumtanzen" um deine Worte zu benutzen.
Desweiteren hast weder Du noch DerWoWusste das Problem von Coreknabe lösen können.

ErdNageL

(Dein Zitat)


Wahrscheinlich weil du keine "destruktiven" Anwender hast.
Das ist bei mir etwas anders. Hier versucht jeder mich zu sabotieren, wie es nur geht und eben genau das Problem mit dem Vollzugriff hatte ich schon.



Grüße

Max